Session이란?
HTTP는 본래 stateless인데, 로그인 유지가 필요해 고안된 개념이다. 서버가 랜덤 ID를 발급 + 쿠키에 저장하고, 매 요청마다 ID로 서버측 상태를 조회한다.
세션 vs JWT
- 세션: 상태는 서버에, 쿠키엔 ID만. 무효화 즉시 가능
- JWT: 상태가 토큰 안에. 만료까지 유효
쿠키 필수 속성
HttpOnly— JS 접근 차단Secure— HTTPS에서만 전송SameSite=Lax/Strict— CSRF 방어